Potential information disclosure vulnerability in preview tokens

Beschreibung

# Zusammenfassung Craft CMS hat ein CSRF-Problem im Vorschau-Token-Endpunkt bei `/actions/preview/create-token`. Der Endpunkt akzeptiert einen von einem Angreifer bereitgestellten „previewToken. Da die Aktion kein POST erfordert und kein CSRF-Token erzwingt, kann ein Angreifer einen angemeldeten Opfer-Editor zwingen, ein vom Angreifer ausgewähltes Vorschau-Token zu prägen. Dieses Token kann dann vom Angreifer (ohne Authentifizierung) verwendet werden, um auf Vorschau- / unveröffentlichte Inhalte zuzugreifen, die an den autorisierten Vorschaubereich des Opfers gebunden sind. --- ## Voraussetzungen - Das Opfer ist bei Craft Control Panel angemeldet. - Das Opfer verfügt über eine aktive Vorschauautorisierung in der Sitzung für Zielinhalte (z. B. Öffnen / Bearbeiten eines Eintrags). - Der Angreifer muss die `canonicalId` und den öffentlichen URL-Pfad dieses Eintrags kennen. ## 1 Angreifer bereitet einen festen Token vor Verwenden Sie einen beliebigen 32-Zeichen-Wert, zum Beispiel: ``textaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa --- # Impact - CSRF-basierte Prägung von angreiferbekannten Preview-Token. - Unbefugter Zugriff auf Draft / Provisorische / Revisionsinhalte über Token Replay. - Stealthy One-Click-Exploitation gegen angemeldete Editoren / Administratoren. - Keine Abhängigkeit von forwarded-host-Vergiftung. --- # Referenzen - https://github.com/craftcms/cms/commit/6a88468dc35a27cccc8fef254f415a447d4a07cc

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 4.17.4, 5.9.7.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.